🛡️ 今週のセキュリティ＆サイバー脅威サマリー：AI がもたらす新たな攻防と企業の備え（2026年4月20日ニュース）

今週のセキュリティニュースは、AI 技術の進化に伴う新たな脅威と、それに対する企業の防衛策が焦点となりました。アンソロピックの新型 AI「Mythos」が金融システムに与えるリスクが警告されるなど、AI の悪用懸念が現実味を帯びています。また、オープンソースからクローズドへ移行する動きや、ランサムウェア被害の実態調査など、業界の構造変化を示す記事も目立ちました。個人情報保護や内部不正への対策など、実務的な知見も満載です。これらの動向を把握し、組織のセキュリティ体制を見直すきっかけにしてください。🔍

Anthropic の新 AI「Mythos」の脅威を、全米証券業協会が名指しで警告。大規模不正アクセスなど「金融システム全体を混乱させる恐れ」

全米証券業協会は、アンソロピックが開発した新 AI ツール「Mythos」が金融システム全体を不安定化させる可能性があると警告しました。Mythos はコードの脆弱性を特定する能力に優れており、悪用されればSEC の巨大データベースへのハッキングにつながる恐れがあります。協会はこのリスクを6 つの具体的な脅威に分類し、大規模な個人情報窃取から金融市場の混乱まで懸念を示しました。財務長官宛ての公開書簡では、CAT（統合取引監視システム）の脆弱性が既に特定されていると指摘しています。この警告は、AI の高度化がセキュリティ対策に新たな課題を突きつけていることを如実に表しています。 Anthropic の新 AI「Mythos」の脅威を、全米証券業協会が名指しで警告。大規模不正アクセスなど「金融システム全体を混乱させる恐れ」

AI で企業がオープンソースを断念した理由

カレンダー管理ツール「Cal.com」を運営する Cal 社は、AI ハッカーの脅威を背景にオープンソースライセンスからプロプライエタリーライセンスへ移行すると発表しました。同社 CEO は、オープンソースコードを公開することは「銀行の金庫の設計図を配るようなもの」であり、AI による脆弱性発見のリスクが高まりすぎたと語っています。AI モデルがコードを精査して脆弱性を発見する恐れがあるため、顧客データの保護を最優先した判断です。愛好家向けに機密データを扱わない「Cal.diy」を公開する一方、商用アプリケーションは閉鎖されます。これは AI 時代におけるソフトウェアビジネスモデルの根本的な転換点となる可能性があります。 AI で企業がオープンソースを断念した理由

日本はアジア最大の標的 Qilin を筆頭とする新興 RaaS の最新攻撃戦術

日本のサイバーセキュリティ企業 S2W は、日本企業がアジアで最もランサムウェアの標的となっていると警鐘を鳴らしました。特にQilinやDevmanといった新興 RaaS（Ransomware as a Service）勢力が攻撃の中心にいます。Qilin はビジネスマインドを持った巨大な攻撃プラットフォームであり、アフィリエイターとの信頼関係を最優先したエコシステムを構築しています。攻撃の出发点は複雑なハッキングではなく、流出アカウントの悪用であるケースが大半を占めています。企業には、インテリジェンスに基づいた能動的な姿勢と、侵入される前提に立った普遍的な対策が求められています。 日本はアジア最大の標的 Qilin を筆頭とする新興 RaaS の最新攻撃戦術

ランサムウェア被害を受けても「身代金は支払わない」企業の割合が年々増加──JIPDEC 調査

日本情報経済社会推進協会（JIPDEC）の調査により、ランサムウェア被害を受けた企業の身代金支払率が年々減少していることが分かりました。2026 年の調査では支払率が20.1％となり、2024 年の 26.9％から低下傾向にあります。しかし、身代金を支払ってもシステムが復旧できなかった企業も139 社存在し、支払わない方が安全である現実が浮き彫りになりました。被害総額は1000 万円から 5000 万円未満が最多ですが、1 億円以上の被害も 15.6％を占めています。復元不能なデータの喪失が最も多い影響であり、事前のバックアップ体制の重要性が改めて強調されています。 ランサムウェア被害を受けても「身代金は支払わない」企業の割合が年々増加──JIPDEC 調査

開発者向けクラウドプラットフォームの Vercel がハッキングされる、「サードパーティー製 AI ツール」が攻撃の経路か

開発者向けクラウドプラットフォーム「Vercel」で不正アクセスを伴うセキュリティインシデントが発生し、一部の顧客に影響が及びました。Vercel は侵入経路について、サードパーティー製 AI ツールの侵害された Google Workspace OAuth アプリに起因するものと説明しています。クラッカー集団「ShinyHunters」を名乗る人物がオンライン上に一部データを投稿しており、従業員の氏名やメールアドレスなどが含まれていました。同社は利用者に対し、API キーやトークンの優先的な変更を推奨し、不審な操作がないか調べるよう呼びかけています。サプライチェーン全体のセキュリティ管理の難しさが浮き彫りになった事例です。 開発者向けクラウドプラットフォームの Vercel がハッキングされる、「サードパーティー製 AI ツール」が攻撃の経路か

EU のオープンソース年齢確認アプリはたった 2 分でハッキング可能でプライバシーとセキュリティ上の問題が発覚、EU 当局者も「まだデモ段階」と言わざるを得ない事態に

EU が展開予定の公式年齢確認アプリが、公開直後からセキュリティ専門家により2 分足らずで破れると指摘されました。アプリが利用者の端末に機微データを保存したうえで十分に保護していないなど、複数の脆弱性が報告されています。生体認証機能を回避できる可能性や、他人の端末でも年齢確認が通ってしまうなどの問題も明らかになりました。欧州委員会は検証されていたのが「デモ版」だと説明しましたが、公開されたコードが最新版であったと反論されています。この事態は、将来のデジタル ID ウォレット全体への信頼を損なうおそれがあると警告されています。 EU のオープンソース年齢確認アプリはたった 2 分でハッキング可能でプライバシーとセキュリティ上の問題が発覚、EU 当局者も「まだデモ段階」と言わざるを得ない事態に

セキュリティが破られるかどうかは「どちらが AI により多くお金をかけるか」の勝負になりつつある

技術系論考執筆の Drew Breunig 氏は、AI 時代のセキュリティは「どちらが AI により多くトークンを使わせるか」の証明作業になりつつあると主張しました。Anthropic の「Claude Mythos Preview」がサイバー攻撃性能で従来モデルを上回る評価を受けたことを受け、守る側も攻撃側より多くのトークンを投じて脆弱性を探す必要があるとしています。これにより、ソフトウェア開発の作業が「開発」「レビュー」「安全性の強化」の 3 つに分かれていくという見方が示されています。コードを書くことは安くなる一方、安全にするためには資金が作業の制約になる可能性があります。セキュリティ対策が経済的な競争の側面を強めている現状が浮き彫りです。 セキュリティが破られるかどうかは「どちらが AI により多くお金をかけるか」の勝負になりつつある

Google 検索「AI モード」に個人情報を入力しないで――立教大など、学内に注意喚起

立教大学や法政大学などが、Google 検索の「AI モード」に個人情報を入力しないよう学内向けに注意喚起を行いました。AI モードに入力した情報は Google のデータベースに蓄積され、AI 学習に利用されるため、入力自体が情報漏えいになると懸念されています。大学専用 Gmail アカウントにログインした状態でも入力内容が AI 学習に利用される可能性があると説明しています。氏名などの個人を特定できる情報や、大学業務に関わる機密情報の入力を禁じています。AI ツールの利便性とプライバシーリスクのバランスについて、組織的なガイドライン策定の必要性が高まっています。 Google 検索「AI モード」に個人情報を入力しないで――立教大など、学内に注意喚起

誤送信からランサムウェアまで 連休前に点検したい脅威の「入り口」は 3 つ

2026 年 4 月前半に公表されたインシデントを見ると、テスト環境や社内運用、過去事案の調査結果公表など、見落とされがちな領域に関する問題が目立ちました。東急リゾーツ＆ステイではメール誤送信により9 万 5986 人分の宿泊情報が漏えいし、阿波銀行ではテスト環境への不正アクセスで顧客情報が漏えいしました。情シスが点検すべき論点として「本番外環境の管理」「メール送信や外部共有の運用統制」「ランサムウェア発生後の棚卸しと通知設計」の 3 つが挙げられています。中堅・中小企業では日常業務に追われる中で後回しにされやすい領域こそ、注意が必要です。 誤送信からランサムウェアまで 連休前に点検したい脅威の「入り口」は 3 つ

パスワード管理は「覚えない」から「保存しない」に 注目の新技術「HIPPO」とは？

IEEE Spectrum は、単一のマスターパスワードから Web サイトごとの認証情報をその場で生成し、保存を不要とする新たな方式「HIPPO」について報じました。この手法は、管理ツールに保存された情報が漏えいする懸念を軽減するもので、オブリビアス疑似乱数関数と呼ばれる暗号技術が使われています。実験では手動入力より高い安全性と信頼性が示され、安全性評価は 5 点満点中4.04を記録しました。複雑な文字列を繰り返し入力する負担が軽減され、認知的負担の軽減が全体の体験を向上させています。パスワードの保存を不要とする点で、セキュリティと利便性の両立を図る新たな方向性を示す技術です。 パスワード管理は「覚えない」から「保存しない」に 注目の新技術「HIPPO」とは？

考察

今週のニュース全体を通じて、AI 技術の進化がセキュリティ領域に劇的な変化をもたらしていることが明確になりました。特に Anthropic の「Mythos」のような高度な AI モデルが、金融システムなどの重要インフラに対する脅威として認識され始めた点は注目すべきです。🤖 これまでは人間によるハッキングが主流でしたが、今後は AI 同士が攻防を繰り広げる「トークンコスト競争」の時代へ移行しつつあります。企業は単なるツール導入だけでなく、AI を悪用された場合のリスク管理や、防御側の AI への投資戦略を再考する必要に迫られています。

また、オープンソースからクローズドへの移行や、EU アプリの脆弱性発覚など、信頼の基盤そのものが揺らぎつつあることも懸念材料です。📉 一方で、ランサムウェア支払率の低下や、新しい認証技術「HIPPO」の登場など、防御側の技術と意識も確実に進化しています。今後は、技術的な対策に加え、従業員教育やインシデント対応体制の整備など、人間と組織の側面からのアプローチがより一層重要になるでしょう。これらの動向を注視し、変化し続ける脅威に対してレジリエンスのある体制を構築することが求められています。🛡️

＼ Get the latest news ／